为什么先做归属梳理
拿到授权 IP 段后不能直接扫：网段可能来自运营商分配、云厂商或转租，段内主机不一定都属于委托方。把网段与运营商分配记录、路由信息、客户台账交叉核对，能避免把邻居资产误纳入测试，这是最常见也最严重的越界来源之一。
基本信息
| 核对手段 | 路由 whois 查询、运营商记录、客户台账 |
|---|---|
| 核对目标 | 段内已知主机与台账的匹配度 |
| 异常处理 | 存疑主机标记后单独确认归属 |
| 探测要求 | 存活探测限速，只做必需的最小验证 |
| 产出 | 归属清单与存疑项清单 |
典型使用场景
- 项目启动前核验授权网段的注册组织与委托方是否一致
- 把段内资产与客户台账逐条比对，找出未登记主机
- 识别共享段与转租段，划出需要单独确认的范围
- 对存疑 IP 先做被动核对（whois、反查）再决定是否探测
- 把归属核验过程与结论留档，作为范围合法性的依据
梳理步骤
梳理步骤
# 1. 列出授权网段：10.20.30.0/24
# 2. 查询分配与注册信息，记录注册组织
# 3. 存活探测限速分批，仅探测已核验主机
# 4. 与台账比对：登记 18 台，实际存活 23 台，5 台存疑
# 5. 存疑 IP 全部标记待确认，未经书面许可不测试归属核对项读法
| 核对项 | 含义 | 异常信号 |
|---|---|---|
| 注册组织 | whois 中网段的注册主体 | 与委托方名称不一致，可能是运营商段 |
| 路由宣告 | 该段由谁宣告、是否被细分 | 宣告方是第三方，说明存在转租或托管 |
| 台账记录 | 客户资产系统登记的主机 | 实际存活数明显多于台账，存在影子资产 |
| 用途标注 | 段内主机的业务归属 | 出现办公网或测试网段，风险等级不同 |
共享段与转租段在企业环境中很常见：托管机房、云主机、专线互通都会导致同一段被多方使用。
归属没有确认的主机一律不测；扫到邻居资产构成未授权测试，责任由测试方承担。